Identity Server 4 原理和实战（完结）_Hybrid Flow 实例, Claims, 角色授权和策略授权

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

4分50

建立客户端

不需要身份认证

客户端叫做HybirdClient

配置IdentityServer服务端，先把客户端添加上

把userClaims添加到token里面

然后运行服务端就可以了

客户端配置

和之前的配置差不多，先把代码贴上

和之前的区别可能是这里的相应类型有区别

启动地址端口改成 7000端口
HomeController需要处理，首先需要登陆

服务端的端口也需要改成7000

运行测试

一运行客户端就会跳转到授权服务器

登陆，请求权限

成功跳转

访问被保护资源

之前把之前的代码全部复制到HomeController和两个View页面内

claims

mvc的客户端有这么一句话

服务端把这里设置为true，表示把claims放到idToken里面

运行mvc客户端看到的结果，这些是直接从idToken里面获取出来的

客户端把claims的映射的clear方法这句话注释掉

可以看到Claims的key是这种样子的。这就是jwt的claimType。刚才比较简洁的方式是well-know的方式

复制这里的idToken

复制到jwt.io网站解析

把那句话注释的，客户端的不再注释

左右对比这些值

例如这些都没有出现在我们客户端的Userclaims上

这是因为们我们使用的这个中间件，默认会过滤掉认为我们不需要的claims。例如：nbf、exp等等
那么怎么防止这些东西被过滤掉
在客户端，有个集合会把集合内的cliams给过滤掉，例如这里我们这里把nbf给从集合remove掉，就不会过滤这个nbf了

需要重新登陆一下，再次运行客户端就看到nbf这些都有了

sid和sub 设置被过滤掉

还是在客户端设置

这样就被过滤掉了

授权方式

以前比较流行的方式是基于角色来授权

基于角色的授权

角色具体在生产环境中怎么维护先不管，这里演示先都写死
这是服务端的设置，这里是身份的认证信息

添加一个新的角色的Scope，这个scope的名字叫做roles，它里面有个claim就是role

然后设置让我们的客户端可以访问这个roles

然后配置客户端，客户只要在这里添加一个scope就可以了

登陆后我们看到出现了一个scope叫做角色

客户端，当前角色是管理员，可以看到了，

设置客户端的Action只能管理员访问

默认的首页管理和普通用户都可以访问

没有映射mvc客户端里面的角色

先把index的橘色设置这个注释掉，加断点进行调试。user.IsInRole判断用户时候包含这个管理员的角色

当前用户不是管理员。

看一下user的claims、确实有一个role但是这个role并没有成为我们mvc角色系统里面那个role。所以这里需要某种映射

客户端进行映射。nameClaimType和RoleClaimType分别取的是jwtClaimType里面的类型

再次运行结果是true。看一下user的identity的Name值是正确的

然后这里的controller就可以设置这个角色了

没有权限的时候访问的是一个Account/AccessDenied这么个路由